Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Backdoor

Backdoor

Para peneliti mengungkap malware Iran baru yang digunakan dalam serangan siber baru-baru ini

by

Aktor ancaman Iran telah meluncurkan kampanye spionase siber baru terhadap kemungkinan target Lebanon dengan backdoor yang mampu mengekstrak informasi sensitif dari sistem yang dikompromikan.

Firma keamanan siber, Check Point, mengaitkan operasi tersebut dengan APT34, mengutip kemiripan dengan teknik sebelumnya yang digunakan oleh pelaku ancaman serta berdasarkan pola viktimologi.

APT34 (alias OilRig) dikenal karena kampanye pengintaiannya yang selaras dengan kepentingan strategis Iran, terutama mengenai industri keuangan, pemerintah, energi, kimia, dan telekomunikasi di Timur Tengah.

Grup tersebut biasanya menggunakan target individu melalui penggunaan dokumen tawaran pekerjaan palsu, dikirim langsung ke para korban melalui pesan LinkedIn, dan kampanye terbaru tidak terkecuali, meskipun cara pengirimannya masih belum jelas.

Dokumen Word yang dianalisis oleh Check Point mengklaim menawarkan informasi tentang posisi yang berbeda di perusahaan konsultan berbasis di AS bernama Ntiva IT, hanya untuk memicu rantai infeksi setelah mengaktifkan makro jahat yang disematkan, akhirnya menghasilkan pemasangan backdoor yang disebut “SideTwist”.

Selain mengumpulkan informasi dasar tentang mesin korban, backdoor tersebut membuat koneksi dengan server jarak jauh untuk menunggu perintah tambahan yang memungkinkannya mengunduh file dari server, mengunggah file sewenang-wenang, dan menjalankan perintah shell, yang hasilnya diposting kembali ke server.

Selengkapnya: The Hacker News

Peretas Korea Utara menggunakan malware Vyveva baru untuk menyerang kapal barang

by

Grup peretasan Lazarus yang didukung Korea Utara menggunakan malware baru dengan kemampuan backdoor yang dijuluki Vyveva dan menargetkan serangan terhadap perusahaan logistik pengiriman Afrika Selatan.

Meskipun ESET hanya menemukan dua mesin yang terinfeksi malware ini, keduanya milik perusahaan pengiriman Afrika Selatan yang sama, backdoor kemungkinan digunakan dalam kampanye spionase yang ditargetkan sejak pertama kali digunakan di alam liar.

Malware ini hadir dengan serangkaian kemampuan spionase dunia maya yang memungkinkan operator Lazarus memanen dan mengekstrak file dari sistem yang terinfeksi ke server di bawah kendali mereka menggunakan jaringan anonim Tor sebagai saluran komunikasi yang aman.

Lazarus juga dapat menggunakan Vyveva untuk mengirim dan mengeksekusi kode berbahaya sewenang-wenang pada sistem yang dikompromikan di jaringan korban.

Sementara backdoor akan terhubung ke server command-and-control (C2) setiap tiga menit, ia juga menggunakan pengawas yang dirancang untuk melacak drive yang baru terhubung atau sesi pengguna aktif untuk memicu koneksi C2 baru pada sesi baru atau drive event.

Sumber: Bleeping Computer

Indikator gangguan, termasuk hash sampel Vyveva yang digunakan selama serangan yang menargetkan perusahaan angkutan Afrika Selatan, tersedia di akhir laporan ESET.

Cheat berbahaya untuk Call of Duty: Warzone beredar online

by

Penjahat telah menyembunyikan malware di dalam perangkat lunak yang tersedia untuk umum yang dimaksudkan sebagai cheat untuk Call of Duty: Warzone dari Activision, para peneliti dengan pembuat game memperingatkan awal pekan ini.

Pada hari Rabu, Activision mengatakan bahwa situs curang populer mengedarkan cheat palsu untuk Call of Duty: Warzone yang berisi dropper, istilah untuk jenis backdoor yang menginstal malware tertentu yang dipilih oleh orang yang membuatnya. Dinamakan Warzone Cheat Engine, cheat tersebut tersedia di situs pada April 2020 dan bulan lalu.

Orang-orang yang mempromosikan cheat tersebut menginstruksikan pengguna untuk menjalankan program sebagai administrator dan menonaktifkan antivirus. Meskipun setelan ini sering kali diperlukan agar cheat berfungsi, setelan ini juga memudahkan malware untuk bertahan dari reboot dan tidak terdeteksi, karena pengguna tidak akan mendapatkan peringatan tentang infeksi atau bahwa software mencari hak istimewa yang lebih tinggi.

Analisis Activision mengatakan bahwa beberapa forum malware secara teratur mengiklankan kit yang menyesuaikan cheat palsu. Kit ini memudahkan pembuatan versi Warzone Cheat Engine yang mengirimkan muatan berbahaya yang dipilih oleh penjahat yang menggunakannya.

Laporan Activision datang pada hari yang sama saat tim keamanan Cisco Talos mengungkapkan kampanye malware baru yang menargetkan pemain game yang menggunakan cheat.

Selengkapnya: Ars Technica

Whistleblower mengklaim pelanggaran data Ubiquiti Networks merupakan ‘bencana besar’

by

Seorang whistleblower yang terlibat dalam menanggapi pelanggaran data yang diderita oleh Ubiquiti Networks mengklaim bahwa insiden tersebut diremehkan dan dapat digambarkan sebagai “bencana besar”.

Pada 11 Januari, penyedia peralatan jaringan dan perangkat Internet of Things (IoT) mulai mengirimkan email kepada pelanggan yang memberi tahu mereka tentang pelanggaran keamanan baru-baru ini.

Pada saat itu, vendor mengatakan informasi termasuk nama, alamat email, dan kredensial kata sandi salted/hash mungkin telah disusupi, bersama dengan alamat rumah dan nomor telepon jika pelanggan memasukkan data ini dalam portal ui.com.

Ubiquiti tidak mengungkapkan berapa banyak pelanggan yang mungkin terlibat.

Pelanggan diminta untuk mengubah kata sandi mereka dan mengaktifkan otentikasi dua faktor (2FA).

Namun, beberapa bulan kemudian, seorang sumber yang “berpartisipasi” dalam menanggapi pelanggaran keamanan tersebut mengatakan kepada pakar keamanan Brian Krebs bahwa insiden itu jauh lebih buruk daripada yang terlihat dan dapat digambarkan sebagai “bencana besar”.

Berbicara kepada KrebsOnSecurity setelah menyampaikan kekhawatirannya melalui jalur whistleblower Ubiquiti dan otoritas perlindungan data Eropa, sumber tersebut mengklaim bahwa penjelasan penyedia cloud pihak ketiga adalah “fabrikasi” dan pelanggaran data “diremehkan secara besar-besaran” dalam upaya untuk melindungi nilai saham perusahaan itu.

Menurut dugaan responden, penjahat siber memperoleh akses administratif ke database AWS Ubiquiti melalui kredensial yang disimpan dan dicuri dari akun LastPass karyawan, yang memungkinkan mereka untuk mendapatkan akses admin root ke akun AWS, S3 buckets, log aplikasi, rahasia untuk cookie SSO, dan semua database, termasuk yang berisi kredensial pengguna.

Sumber itu juga mengatakan kepada Krebs bahwa pada akhir Desember, staf TI Ubiquiti menemukan backdoor yang ditanam oleh pelaku ancaman, yang telah dihapus pada minggu pertama Januari. Backdoor kedua juga diduga ditemukan, yang menyebabkan kredensial karyawan dirotasi sebelum publik mengetahui pelanggaran tersebut.

Para penyerang siber menghubungi Ubiquiti dan berusaha memeras 50 Bitcoin (BTC) – kira-kira $ 3 juta – dengan imbalan mereka akan diam. Namun, vendor tidak melakukan pendekatan dengan mereka.

Selengkapnya: ZDNet

Pengembang Apple menjadi sasaran malware baru, EggShell backdoor

by

Proyek Xcode berbahaya digunakan untuk membajak sistem pengembang dan menyebarkan backdoor EggShell khusus.

Malware, yang dijuluki XcodeSpy, menargetkan Xcode, lingkungan pengembangan terintegrasi (IDE) yang digunakan di macOS untuk mengembangkan perangkat lunak dan aplikasi Apple.

Menurut penelitian yang diterbitkan oleh SentinelLabs pada hari Kamis, fitur Run Script di IDE sedang dieksploitasi dalam serangan bertarget terhadap pengembang iOS melalui proyek Trojanized Xcode yang dibagikan secara bebas secara online.

Proyek Xcode sumber terbuka yang sah dapat ditemukan di GitHub. Namun, dalam kasus ini, proyek XcodeSpy menawarkan “advanced features” untuk menganimasikan bilah tab iOS – dan setelah versi awal diunduh dan diluncurkan, skrip berbahaya diterapkan untuk memasang backdoor EggShell.

Dua varian EggShell telah terdeteksi – dan salah satunya berbagi string terenkripsi dengan XcodeSpy. Backdoor ini mampu membajak mikrofon, kamera, dan keyboard pengembang korban, serta mengambil dan mengirim file ke C2 penyerang.

SentinelLabs mengatakan bahwa setidaknya satu organisasi AS telah terperangkap dalam serangan seperti ini dan pengembang di Asia mungkin juga telah terpengaruh oleh kampanye, yang beroperasi setidaknya antara Juli dan Oktober tahun lalu.

Selengkapnya: ZDNet

Peretas negara bagian China menargetkan sistem Linux dengan malware baru

by

Peneliti keamanan di Intezer telah menemukan backdoor yang sebelumnya tidak dikenali yang dijuluki RedXOR, dengan tautan ke grup peretasan yang disponsori China dan digunakan dalam serangan berkelanjutan yang menargetkan sistem Linux.

Sampel malware RedXOR yang ditemukan oleh Intezer diunggah ke VirusTotal (1, 2) dari Taiwan dan Indonesia (target yang diketahui untuk peretas negara China) dan memiliki tingkat deteksi yang rendah.

Berdasarkan server perintah-dan-kontrol yang masih aktif, backdoor Linux digunakan dalam serangan yang sedang berlangsung yang menargetkan server dan endpoint Linux.

RedXOR hadir dengan sejumlah besar kemampuan, termasuk menjalankan perintah dengan hak istimewa sistem, mengelola file pada kotak Linux yang terinfeksi, menyembunyikan prosesnya menggunakan rootkit sumber terbuka Adore-ng, membuat proxy lalu lintas berbahaya, memperbarui jarak jauh, dan banyak lagi.

Malware baru itu diyakini sebagai alat berbahaya baru yang ditambahkan ke gudang senjata kelompok ancaman Winnti China.

Intezer juga menemukan banyak koneksi antara backdoor Linux RedXOR dan beberapa strain malware yang terhubung ke peretas Winnti state, termasuk backdoor PWNLNX dan botnet Groundhog dan XOR.DDOS.

Selengkapnya:

Email phishing ini menjanjikan Anda bonus – tetapi sebenarnya mengirimkan malware trojan Windows

by

Kampanye phishing baru mencoba memikat korban agar mengunduh versi terbaru dari trojan malware – dan memiliki tautan ke salah satu operasi kriminal siber paling produktif yang aktif di dunia saat ini.

Trojan Bazar pertama kali muncul tahun lalu dan penyebaran malware trojan yang berhasil dapat memberi penjahat siber sebuah backdoor ke dalam sistem Windows yang dikompromikan, memungkinkan mereka untuk mengontrol perangkat dan mendapatkan akses tambahan ke jaringan untuk mengumpulkan informasi sensitif atau mengirimkan malware, termasuk ransomware.

Para peneliti telah mengaitkannya dengan pengembang Trickbot, salah satu bentuk malware paling umum untuk peretas kriminal yang ingin masuk ke jaringan.

Sekarang para peneliti keamanan siber di Fortinet telah mengidentifikasi varian baru dari trojan Bazar, yang telah dilengkapi dengan teknik anti-analisis untuk membuat malware lebih sulit dideteksi oleh perangkat lunak anti-virus.

Ini termasuk menyembunyikan API berbahaya dalam kode dan hanya memanggilnya saat diperlukan, obfuscation kode tambahan, dan bahkan mengenkripsi string kode tertentu agar lebih sulit untuk dianalisis.

Teknik baru ditambahkan ke Bazar menjelang akhir Januari dan bertepatan dengan kampanye phishing yang dirancang untuk mendistribusikan versi terbaru dari malware tersebut.

Tema yang digunakan oleh email phishing yang dirancang untuk menarik minat dari calon korban perusahaan termasuk laporan keluhan pelanggan palsu, laporan tagihan palsu, dan penawaran bonus finansial palsu.

Untuk menghindari menjadi korban serangan phishing yang menyebarkan Bazar atau jenis malware lainnya, para peneliti merekomendasikan agar organisasi memberikan panduan kepada karyawan tentang cara mengidentifikasi dan melindungi diri dari serangan dan penipuan.

Sumber: ZDNet

Peretas China dicurigai menggunakan bug SolarWinds untuk memata-matai agen penggajian AS

by

Peretas China dicurigai mengeksploitasi cacat dalam perangkat lunak yang dibuat oleh SolarWinds Corp untuk membantu membobol komputer pemerintah AS tahun lalu, lima orang yang mengetahui masalah tersebut mengatakan kepada Reuters, menandai putaran baru dalam pelanggaran keamanan siber yang luas yang oleh anggota parlemen AS telah beri label sebagai darurat keamanan nasional.

Kerentanan perangkat lunak yang dieksploitasi oleh kelompok China yang dicurigai terpisah dari yang telah dituduh oleh operasi pemerintah Rusia oleh Amerika Serikat untuk mengkompromikan hingga 18.000 pelanggan SolarWinds, termasuk agen federal yang sensitif, dengan membajak perangkat lunak pemantauan jaringan Orion perusahaan.

Dua orang yang diberi pengarahan tentang kasus tersebut mengatakan penyelidik FBI baru-baru ini menemukan bahwa Pusat Keuangan Nasional, sebuah badan penggajian federal di dalam Departemen Pertanian AS, termasuk di antara organisasi yang terkena dampak, menimbulkan kekhawatiran bahwa data tentang ribuan pegawai pemerintah mungkin telah disusupi.

Dalam pernyataan lanjut setelah cerita itu diterbitkan, juru bicara USDA yang berbeda mengatakan NFC tidak diretas dan bahwa “tidak ada pelanggaran data terkait dengan Angin Matahari” di agensi. Dia tidak memberikan penjelasan lebih lanjut.

Kementerian luar negeri China mengatakan menghubungkan serangan siber adalah “masalah teknis yang kompleks” dan setiap tuduhan harus didukung dengan bukti. “China dengan tegas menentang dan memerangi segala bentuk serangan dunia maya dan pencurian dunia maya,” katanya dalam sebuah pernyataan.

Meskipun dua upaya spionase tersebut menargetkan pemerintah AS, keduanya merupakan operasi yang terpisah dan berbeda, menurut empat orang yang telah menyelidiki serangan tersebut dan pakar dari luar yang meninjau kode yang digunakan oleh kedua kelompok peretas.

NFC bertanggung jawab untuk menangani penggajian beberapa lembaga pemerintah, termasuk beberapa yang terlibat dalam keamanan nasional, seperti FBI, Departemen Luar Negeri, Departemen Keamanan Dalam Negeri dan Departemen Keuangan.

Soruce : Reuters